ENX Vehicle Cyber Security Audit (VCS Audit): Cybersecurity-Zertifizierung für Fahrzeuge in der Automobilindustrie

Das Wichtigste in Kürze  

• Die ENX Association ist eine vertrauenswürdige Organisation, welche für einheitliche Informationssicherheits-Anforderungen und eine Reduktion von Lieferantenaudits in der Automobilindustrie sorgt.

• ENX Vehicle Cyber Security Audit prüft die Wirksamkeit des CSMS und dessen Fähigkeit, Fahrzeugkommunikationssysteme gegen Cybersicherheitsrisiken abzusichern.

• ISO/SAE 21434 legt die Anforderungen für ein CSMS fest; ISO/PAS 5112 beschreibt das entsprechende Audit-Verfahren. ENX VCS basiert auf beiden Normen für Anforderungen und Audit.

• TISAX® ist ein international anerkannter Standard für Informationssicherheit in der Automobilindustrie, basierend auf ISO 27001. Eine TISAX®-Prüfung ist Voraussetzung und Basis für ENX VCS.

Grundlagen des ENX Vehicle Cyber Security Audits

Die zunehmende Vernetzung moderner Fahrzeuge vergrößert die Angriffsfläche für Cyberbedrohungen erheblich und stellt Hersteller und Zulieferer vor neue Herausforderungen. Cybersecurity muss daher über den gesamten Fahrzeuglebenszyklus hinweg systematisch berücksichtigt werden, von der Entwicklung über die Produktion bis hin zu Betrieb und Wartung.

Als Antwort auf diese Anforderungen haben sich Vehicle Cybersecurity Management Systeme (V-CSMS) als zentraler Baustein der Fahrzeug-Cybersicherheit etabliert. Ein V-CSMS beschreibt die organisatorischen und technischen Prozesse, mit denen Unternehmen Cyberrisiken identifizieren, bewerten, behandeln und kontinuierlich überwachen.

Mit der Einführung der UNECE R155 und R156 wurden Cybersecurity-Management-Systeme (CSMS) und Software-Update-Management-Systeme (SUMS) erstmals regulatorisch verpflichtend. Ergänzend dazu definiert die ISO/SAE 21434 Anforderungen an die Umsetzung von Fahrzeug-Cybersecurity-Prozessen, während die ISO/PAS 5112 Leitlinien für die Auditierung eines V-CSMS bereitstellt.

In der Praxis zeigte sich jedoch, dass unterschiedliche Auditansätze und Bewertungsverfahren eine konsistente und vergleichbare Nachweisführung erschweren. Vor diesem Hintergrund hat die ab 2021 gemeinsam mit Expert:innen aus OEMs (Original Equipment Manufacturers), Zulieferern und Dienstleistern das ENX VCS entwickelt. Ziel dieses Frameworks ist es, Cybersecurity-Prozesse entlang der Automobil-Lieferkette standardisiert, transparent und vergleichbar zu bewerten.

Das ENX VCS fokussiert sich auf die Implementierung von Fahrzeug-Cybersecurity, Risikomanagement und Governance-Strukturen und findet in der Regel alle drei Jahre statt. Im Rahmen des Audits werden die organisatorischen und technischen Cybersecurity-Prozesse eines Unternehmens anhand standardisierter Kriterien bewertet.

Nutzen von ENX VCS

Aufbauend auf diesen Grundlagen bietet ENX VCS eine standardisierte Zertifizierung für ein V-CSMS, das die Anforderungen der ISO/SAE 21434 erfüllt. Der Auditprozess erfolgt gemäß den Vorgaben von ISO/PAS 5112 und bewertet systematisch die Implementierung und Wirksamkeit des CSMS.

Vorteile von ENX VCS:

• Standardisierter Cybersecurity-Nachweis: zeigt die Einhaltung der ISO/SAE 21434 für das V-CSMS.
• Unterstützung bei Typgenehmigung nach UN R155: Nachweis der Implementierung eines CSMS als Voraussetzung für die Zulassung.
• Kosten- und Aufwandseinsparung: reduziert redundante Audits und unterschiedliche proprietäre Zertifizierungsschemata.
• Entlastung der OEMs: OEMs müssen keine eigenen Listen akzeptierter Cybersecurity-Nachweise pflegen.
• Governance und Qualitätssicherung: ENX verwaltet einen Pool zugelassener Audit-Dienstleister und überwacht die Auditqualität.

Wer benötigt ENX VCS?

Das ENX VCS richtet sich an Unternehmen in der Lieferkette im Automotive-Bereich, die an der Entwicklung, Herstellung oder Betreuung von cyberrelevanten Fahrzeugfunktionen beteiligt sind. Typische Zielgruppen sind:

• Automobilhersteller (OEMs): Fahrzeughersteller, die als Gesamtverantwortliche für die Fahrzeugsicherheit von ihren Zulieferern standardisierte und verlässliche Nachweise über ein wirksames Cybersecurity Management System
• Automobilzulieferer: Unternehmen, die Komponenten, Systeme oder Software für Fahrzeuge entwickeln oder produzieren und damit Einfluss auf die Cybersicherheit des Fahrzeugs haben.
• IT- und Software-Dienstleister: Anbieter, die digitale Dienste, Software oder technische Unterstützung für Fahrzeugfunktionen oder deren Entwicklung bereitstellen.

Regulatorische Anforderungen & Normen

Die Automobilindustrie richtet Entwicklungs- und Produktionsprozesse zunehmend an Cybersecurity-Standards und regulatorischen Vorgaben aus. Eine zentrale Regelung in diesem Kontext ist UNdie weltweite Anwendung findet. Sie verpflichtet Hersteller, ein CSMS einzuführen und dessen Wirksamkeit nachzuweisen, um die Typgenehmigung für Fahrzeuge zu erhalten. Ziel ist es, Cybersecurity fest im Fahrzeuglebenszyklus zu verankern und die kontinuierliche Weiterentwicklung der Sicherheit zu fördern.

Für die praktische Umsetzung dieser regulatorischen Anforderungen liefert die ISO/SAE 21434 (2021) einen Leitfaden für das Management von Cybersecurity-Risiken. Sie beschreibt, wie Hersteller ein CSMS implementieren, Risiken identifizieren, bewerten und minimieren können, und unterstützt damit die Erfüllung von UN R155.

Mehr Informationen zum Thema CSMS befinden sich in dem EFS Consulting Whitepaper „Sichere Fahrzeuge durch UNECE R155 & ISO/SAE 21434“.

Ergänzend regelt UN R156 (2021) das das sichere Over-the-Air-Updates, Patch-Management und die dauerhafte Absicherung von Fahrzeugsoftware umfasst. Damit wird sichergestellt, dass vernetzte Fahrzeuge auch nach der Auslieferung geschützt bleiben.

Für die Umsetzung dieser Anforderungen dient ISO/SAE 24089 (2023) als Begleitstandard. Sie liefert detaillierte Leitlinien für SUMS, einschließlich Prozesse, Rollen, Validierung und Rückverfolgbarkeit über den gesamten Fahrzeuglebenszyklus.

Die ISO/PAS 5112 (2022) ergänzt die Normen durch konkrete Vorgaben für Audits eines CSMS in der Lieferkette. Sie definiert Aufbau und Organisation von Auditprogrammen, die Qualifikation von Auditoren sowie die Dokumentation von Nachweisen und stellt so sicher, dass die Umsetzung eines CSMS auditierbar und nachvollziehbar ist.

Ein weiteres wichtiges Instrument ist TISAX® (2017), ein branchenweites Prüf- und Bewertungssystem für Informationssicherheit. Ein gültiges TISAX®-Label bestätigt, dass ein Information Security Management System (ISMS) umgesetzt ist und sensible Daten wie Fahrzeugprototypen oder Produktionspläne sicher verarbeitet werden.

Abgrenzung zu verwandten Standards & Audits

Um die Rolle von ENX VCS im Kontext internationaler Normen und regulatorischer Vorgaben zu verstehen, ist eine klare Abgrenzung zu bestehenden Standards notwendig.

ENX VCS liefert einen standardisierten Nachweis, dass ein CSMS implementiert ist, und unterstützt Hersteller sowie Lieferanten so bei der Erfüllung der Anforderungen von UN R155 für die Typgenehmigung von Fahrzeugen. Gleichzeitig prüft ENX VCS, ob das CSMS die Vorgaben der ISO/SAE 21434 erfüllt und die Prozesse für Cybersecurity-Risikomanagement in der Lieferkette adäquat umgesetzt sind.

UN R156 geht über den Umfang des ENX VCS hinaus, da es spezifische Anforderungen an SUMS definiert. ENX VCS kann jedoch als vorbereitende Grundlage dienen, da es die Implementierung eines CSMS voraussetzt, auf dem ein SUMS aufgebaut werden kann. Die Anforderungen von ISO 24089 werden durch ENX VCS nicht direkt geprüft, da der Fokus des Audits auf dem CSMS liegt, nicht auf Software-Update-Managementsystemen.

Der Auditprozess selbst ist nach ISO/PAS 5112 konzipiert, wodurch ein standardisiertes Vorgehen, qualifizierte Auditoren und eine nachvollziehbare Dokumentation gewährleistet werden. Darüber hinaus baut ENX VCS auf TISAX® auf: Entwicklungsstandorte müssen ein erfolgreiches TISAX®-Assessment vorweisen, während VCS gleichzeitig die Umsetzung des CSMS nach ISO/SAE 21434 prüft und damit über die klassische Informationssicherheit hinausgeht.

Insgesamt positioniert sich ENX VCS damit als verbindlicher, standardisierter Auditmechanismus, der Lieferanten unterstützt, regulatorische Anforderungen und Normen umzusetzen, die Typgenehmigung nach UN R155 zu erfüllen und die Cybersecurity in der gesamten Lieferkette transparent und nachvollziehbar nachzuweisen.

Der Auditprozess Schritt für Schritt

Vorbereitung & Zielsetzung

Bevor ein Unternehmen sich für ENX VCS anmeldet, müssen vorbereitende Schritte abgeschlossen werden, um sicherzustellen, dass alle relevanten Standorte und Aktivitäten vollständig erfasst sind und das Audit korrekt geplant werden kann.

• Definition des Scopes: Das Unternehmen legt fest, welche Standorte und Bereiche VCS-relevante Aktivitäten durchführen und im Audit berücksichtigt werden. Berücksichtigt werden alle Einheiten, die direkt oder indirekt an Prozessen beteiligt sind, die die Sicherheit von Fahrzeugkomponenten oder Daten mit Anforderungen an Vertraulichkeit, Integrität und Verfügbarkeit betreffen.
• Audit Objective wählen: Das Unternehmen legt fest, welche VCS-Aktivitäten geprüft werden sollen. Je nach gewähltem Objective unterscheiden sich die Anforderungen:
  • VCS Development: Konzept- und Produktentwicklung, Integration und Validierung.
  • VCS Production: Herstellung von VCS-Komponenten, inkl. SecOC-Keys, Secure Boot und TLS-Zertifikate.
  • VCS Operations & Maintenance: Überwachung, Schwachstellenanalyse, Updates und sichere Entsorgung von Schlüsseln/Zertifikaten.

Jede Aktivität hat spezifische Auditkriterien, die sicherstellen, dass die Prozesse korrekt umgesetzt werden.

• Valides TISAX®-Label: Für alle Standorte im definierten Scope muss zum Zeitpunkt des Audits ein gültiges TISAX®-Label vorliegen, um die Informationssicherheit im gesamten Unternehmen sicherzustellen und die ENX VCS-Anforderungen effizient prüfen zu können.

Zusätzlich sollten Unternehmen den Aufwand für ENX VCS berücksichtigen, einschließlich Vorbereitung, Selbsteinschätzung, Dokumentation, Abstimmung mit dem Auditdienstleister sowie der eigentlichen Auditphasen. Je nach Unternehmensgröße, Anzahl der Standorte und Umfang des Scopes können dafür erhebliche Zeit-, Personal- und Ressourcen-Aufwände erforderlich sein. Eine frühzeitige Planung und Zuweisung von Kapazitäten trägt dazu bei, den Auditprozess effizient und termingerecht durchzuführen.

Phasen des Audits

Das ENX Vehicle Cyber Security Audit wird in vier aufeinanderfolgenden Phasen durchgeführt, die von Vorbereitung über Selbsteinschätzung und Audit bis hin zum Abschluss reichen und sicherstellen, dass alle relevanten Standorte, Aktivitäten und Nachweise vollständig geprüft werden:

Phase 1 – Vorbereitung:

Der Scope für VCS wird festgelegt, dh welche Standorte und VCS-Aktivitäten (Development, Production oder Operations & Maintenance) berücksichtigt werden. Danach wird überprüft, ob für alle Standorte im Scope ein gültiges TISAX®-Label vorliegt, um anschließend einen externen, zugelassenen Audit-Dienstleister auszuwählen. Wenn Scope, TISAX®-Voraussetzungen und Audit-Dienstleister feststehen, erfolgt die Anmeldung zum Audit.

Phase 2 – Selbsteinschätzung:

Zunächst erfolgt eine Selbsteinschätzung des zentralen CSMS anhand des VCS-Katalogs. Anschließend werden alle im Katalog geforderten Nachweise und Dokumente aufbereitet und dem Auditteam bereitgestellt. Gegebenenfalls werden auf Basis der Selbsteinschätzung Maßnahmen ergriffen, um identifizierte Lücken vor dem eigentlichen Audit zu schließen.

Phase 3 – Audit:

Zunächst prüft der externe Auditor die bereitgestellten Dokumente. Das zentrale CSMS wird auditiert und anschließend eine auf Risikokriterien basierte Stichprobe von VCS-Projekten ausgewählt und überprüft, um sicherzustellen, dass die CSMS-Anforderungen umgesetzt wurden.

Phase 4 – Abschluss:

Abweichungen aus dem Audit werden im Zwischenbericht festgehalten und Maßnahmen zu deren Behebung vereinbart. Gegebenenfalls werden diese Maßnahmen innerhalb eines festgelegten Zeitraums umgesetzt und auf ihre Wirksamkeit überprüft. Nach Abschluss erfolgt die Veröffentlichung der finalen Ergebnisse und des ENX VCS-Labels im ENX-Portal.

Anforderungen des Audits

Die folgenden Beispiele liefern einen groben Einblick in die Anforderungen des ENX VCS:

Vehicle Cybersecurity Management System:

Es muss ein V-CSMS existieren und ausführlich dokumentiert werden. In den Nachweisen für das V-CSMS müssen die Verantwortlichen Personen, der Risiko-Management-Prozess und kontinuierliche Verbesserung dokumentiert sein.

Beispielfrage: Welcher Prozess stellt sicher, dass kurzfristige Änderungen an sicherheitskritischen Funktionen unmittelbar in die Cybersecurity-Risikobewertung einfließen?

Systemarchitektur:

Die Systemarchitektur muss ausreichend dokumentiert und gesichert sein. Kommunikationsschnittstellen oder Architekturdiagramme dienen hierbei als Nachweis.

Beispielfrage: Wie sind sicherheitskritische Kommunikationsschnittstellen zwischen Steuergeräten dokumentiert und abgesichert?

Sichere Entwicklung:

Um die Sicherheit vom Fahrzeug und von individuellen Software- und Hardwarekomponenten zu gewährleisten, müssen während der Entwicklungsphase etablierte Prozesse implementiert werden. Insbesondere die Durchführung von Quellcode-Reviews und Schwachstellenscans.

Beispielfrage: Wie werden Open-Source-Komponenten auf Schwachstellen überprüft und wie erfolgt ihre Verwaltung?

Supply-Chain-Management:

Lieferanten werden auf den Nachweis von Compliance von Cybersecurity-Richtlinien, wie z.B. TISAX oder ENX VCS, geprüft und bewertet. Die daraus folgenden Prozesse wie Risikobewertungen von Lieferanten müssen hierbei dokumentiert werden.

Beispielfrage: Wie wird gewährleistet, dass Lieferanten ihre Cybersecurity-Anforderungen auch an Unterlieferanten weitergeben?

Incident-Response:

Es muss ein Incident-Response-Plan (basierend auf UN R155) existieren, der die Eskalationspfade, Meldungspflichten und Kommunikationspläne dokumentiert.

Beispielfrage: Wie wird über die Einstufung und Priorisierung eines Cybersecurity-Vorfalls entschieden?

Testen und Validierung:

Es müssen regelmäßige Security Tests durchgeführt werden. Dazu zählen unter anderem Pentests, Code Test-Cases oder Software-Integration Tests. Die Test-Reports werden bei dem Audit geprüft und validiert.

Beispielfrage: Welche Test-Reports sind vorhanden und welche Methoden wurden verwendet?

Labels & Ergebnisse

Nach einem erfolgreichen Audit erhält das Unternehmen das VCS-Label. Dieses bestätigt das bestandene Audit und dient als Nachweis für die hohen CSMS-Standards des Unternehmens.

Wenn das Gesamtergebnis des Audits eine geringfügige Abweichung aufweist, können temporäre VCS-Labels vergeben werden. Voraussetzung dafür ist ein vereinbarter Verbesserungsplan mit dem Audit-Partner, der im Auditbericht dokumentiert wird.

Die temporären VCS-Labels sind neun Monate ab dem Abschlussmeeting des ersten Audits gültig. Nach Umsetzung aller Korrekturmaßnahmen muss ein Folgeaudit durchgeführt werden, um die endgültigen VCS-Labels zu erhalten.

Im werden Audit-Ergebnisse und VCS-Labels von der Zertifizierungsstelle hochgeladen und zentral hinterlegt. Unternehmen behalten die Kontrolle über die Sichtbarkeit und können entscheiden, ob sie ihre Ergebnisse für alle Portalteilnehmer veröffentlichen, gezielt mit einzelnen Geschäftspartnern teilen oder beides kombinieren. So lässt sich das CSMS-Audit effizient und gezielt mit relevanten Partnern nutzen, ohne dass sensible Informationen ungewollt weitergegeben werden.

Strategischer Nutzen für Unternehmen

Risikominimierung & Compliance

Absicherung gegen Cyberangriffe und Lieferkettenrisiken: Ein ENX VCS-konformes CSMS schützt Fahrzeugsoftware, vernetzte Steuergeräte und Produktionsanlagen vor Cyberangriffen und minimiert gleichzeitig gezielt Risiken durch Störungen in der automobilen Lieferkette. Gleichzeitig stellt es sicher, dass branchenspezifische Sicherheits- und Compliance-Anforderungen (z. B. ISO/SAE 21434) systematisch erfüllt werden.

Wettbewerbsvorteil durch ENX VCS Label

– Proof of Trust gegenüber OEMs & Partnern: Mit dem ENX VCS-Label erkennen Automobilhersteller und Zulieferer sofort, ob Unternehmen ein zertifiziertes CSMS betreiben und die höchsten Standards in der Automotive-Cybersicherheit erfüllen.

Integration in Unternehmensstrategie

– Synergien mit ISMS, BCM & Risikomanagement: Das CSMS wird in die Unternehmensstrategie eingebunden und nutzt Synergien mit ISMS, Business Continuity Management und Risikomanagement, um Sicherheitsrisiken in der Fahrzeugentwicklung und Produktion zu steuern, Notfallpläne zu unterstützen und Prozesse kontinuierlich zu verbessern.

Erfahrung von EFS Consulting: Erfolgsfaktoren & Herausforderungen

Top 3 Erfolgsfaktoren für ein positives Audit

1. Frühzeitige Gap-Analyse

Durch eine frühzeitige Gap-Analyse wird der aktuelle Stand des CSMS festgestellt, um die Anforderungen des ENX Vehicle Cybersecurity Audits gezielt zu erfüllen. Provider bieten gezielte Gap-Analysen an, um Prioritäten und Maßnahmen frühzeitig zu treffen.

2. Integration in das ISMS

Die direkte Einbindung von CSMS-Prozessen in das bestehende ISMS hilft, Abläufe konsistent zu gestalten. Vorhandene Nachweise aus TISAX-Audits oder ähnlichen Prüfungen können referenziert oder übernommen werden, um Redundanzen zu vermeiden und die Nachvollziehbarkeit zu erhöhen.

3. Transparente Kommunikation zwischen OEM & Zulieferer

Klare Kommunikations- und Reportingprozesse stellen sicher, dass Risiken entlang der Lieferkette nachvollziehbar gehandhabt werden und Verantwortlichkeiten eindeutig definiert sind. Strukturierte Informationsflüsse und dokumentierte Incident-Handling-Prozesse erleichtern es, Auditnachweise bereitzustellen und Missverständnisse zu vermeiden.

Top 3 Herausforderungen

1. Heterogene Entwicklungsprozesse für unterschiedliche Produktlinien

Unternehmen mit mehreren Produktlinien verfügen häufig über historisch gewachsene und unterschiedlich ausgeprägte Entwicklungsprozesse, was die einheitliche Umsetzung und Dokumentation von Cybersecurity-Anforderungen erschwert. Eine zentrale Herausforderung besteht darin, Prozesse, Werkzeuge und Verantwortlichkeiten für das Audit konsistent und nachvollziehbar darzustellen.

2. Unklare Rollen und Verantwortlichkeiten im CSMS

Ein wirksames CSMS erfordert klar definierte Zuständigkeiten über verschiedene Unternehmensbereiche hinweg. Fehlen eindeutige Verantwortlichkeiten für Cybersecurity-Aktivitäten, Entscheidungsprozesse oder Freigaben, kann dies zu fehlenden Nachweisen und Verzögerungen im Audit führen.

3. Unzureichende Transparenz in der Lieferkette

ENX VCS verlangt nachvollziehbare Nachweise über Cybersecurity-Maßnahmen entlang der gesamten Lieferkette. Fehlende Transparenz oder unklare Verantwortlichkeiten bei Zulieferern können dabei den Audit-Erfolg gefährden.

Fazit

Das ENX VCS etabliert einen einheitlichen Ansatz, um die Wirksamkeit von CSMS in der Automobilindustrie nachzuweisen. Von der Vorbereitung über die Selbsteinschätzung und Auditierung bis hin zur Vergabe des VCS-Labels bietet der Prozess einen strukturierten Rahmen zur Bewertung von Cybersecurity-Maßnahmen. Entscheidend für ein erfolgreiches Audit sind eine frühzeitige Vorbereitung und eine transparente Zusammenarbeit entlang der gesamten Automotive-Lieferkette.

EFS Consulting unterstützt Sie auf dem Weg zum ENX VCS-Label. Wir analysieren Ihr bestehendes V-CSMS, zeigen Optimierungspotenziale auf und begleiten Sie durch den gesamten Auditprozess.

Von der Definition des Audit-Scopes über interne Assessments bis zur Zusammenarbeit mit autorisierten Prüfdienstleistern – EFS Consulting sorgt dafür, dass Ihr Unternehmen optimal auf die Anforderungen des ENX VCS vorbereitet ist und die Vorteile der Zertifizierung langfristig nutzt.